ESET identificó una nueva campaña de ciberespionaje de FamousSparrow, grupo alineado con China, dirigida principalmente contra organismos gubernamentales de América Latina mediante la puerta trasera SparroWocky.
El malware permite recopilar información del sistema, ejecutar comandos, realizar capturas de pantalla, exfiltrar archivos y establecer comunicaciones mediante proxy TCP, además de utilizar técnicas de evasión y persistencia.
Según ESET, cerca del 90 % de los objetivos identificados entre mediados de 2025 y 2026 se ubicaron en América Latina, con víctimas en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela.
SparroWocky habría reemplazado al antiguo implante SparrowDoor.
A continuación, compartimos los Indicadores de Compromiso (IoC) para ser agregados a las herramientas de seguridad perimetral.
EL ATAQUE
El ataque de FamousSparrow comienza mediante el despliegue de SparroWocky utilizando un esquema de carga lateral de DLL, donde un ejecutable legítimo carga una DLL modificada que recupera la carga útil cifrada.
El malware se carga de forma reflectiva en memoria para dificultar su detección y, una vez activo, recopila información del sistema, ejecuta comandos, realiza capturas de pantalla, exfiltra archivos y establece conexiones mediante proxy TCP.
Además, puede mantener la persistencia mediante servicios o claves de registro, permitiendo a los atacantes mantener el acceso al sistema comprometido y realizar actividades de espionaje dentro de las organizaciones afectadas.
